---
title: "BTCPay Server の CVE-2026-119757: 2.4.2 より前で、認証なしに LND の macaroon ファイルを取得され資金を奪われる恐れ（ベンダーは悪用と資金流出を確認、VulnCheck 評価 CVSS v3.1 9.8）"
url: https://n-t-p.io/worldsecurity/articles/btcpay-server-cve-2026-119757-lnd-macaroon-unauthenticated-disclosure-funds-stolen
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 緊急
cve: CVE-2026-119757
---

# BTCPay Server の CVE-2026-119757: 2.4.2 より前で、認証なしに LND の macaroon ファイルを取得され資金を奪われる恐れ（ベンダーは悪用と資金流出を確認、VulnCheck 評価 CVSS v3.1 9.8）

> **TL;DR:** BTCPay Server 2.4.2 より前は、認証なしで LND の .macaroon ファイルを取得され、ノードを制御されて資金を奪われる恐れ。ベンダーは悪用と資金の流出を確認したと説明。VulnCheck 評価は CVSS v3.1 9.8（v4.0 は 9.3）。2.4.2 で修正（LND 0.21.1）。LND の利用者はすぐ更新し、不審な動きを点検する。

**要点**
- BTCPay Server 2.4.2 より前（RC 含む）で、認証なしの攻撃者が LND の .macaroon ファイルを取得できる（CWE-522・CWE-552）。漏れると LND ノードを制御され、資金を動かされる恐れ。
- ベンダーの勧告は、悪用され資金が盗まれた利用者がいると説明。技術詳細は更新が済むまで非公開。
- 危険は LND を使う環境に限られるとされる。他の Lightning 実装や Lightning 不使用、BTCPay のオンチェーンウォレットは対象外と説明。
- VulnCheck 評価は CVSS v3.1 9.8（AV:N・PR:N）、v4.0 は 9.3。認証不要かつ 9 以上で悪用報告もあり、severity 案は critical。
- 修正版は 2.4.2。LND の利用者はすぐ更新し、更新できなければサーバーを止める。身に覚えのない支払いやチャネル閉鎖を点検する。KEV 掲載なし、EPSS は未算出。手口・被害規模・NVD 最終評価は未確認。

BTCPay Server の 2.4.2 より前（2.4.2 のリリース候補を含む）に、認証なしの遠隔の攻撃者が、Lightning ノード実装 LND の `.macaroon` 認証情報ファイルを取得できる欠陥（CVE-2026-119757）が見つかりました。取得した macaroon で LND ノードを制御され、資金を動かされる恐れがあります。NVD への登録は 2026-11-05、状態は Received（評価前）で、登録元は VulnCheck です。

BTCPay Server のプロジェクトは自社ブログの勧告で、**この欠陥が実際に悪用され、影響を受けた利用者の資金が盗まれた**と述べています。

## 何が起きるか
- 認証なしでネットワーク越しに到達でき、LND の認証情報ファイル（`.macaroon`）が読み出されます（CWE-522 保護されていない認証情報、CWE-552 外部から到達できるファイル）。
- macaroon は LND ノードの操作権限を表すものです。漏れると、ノードの支払い・チャネルの閉鎖・資金の移動ができてしまいます。
- ベンダーが確認した範囲では、狙われたのは `.macaroon` の拡張子のファイルだけです。技術的な詳細は、更新が済むまで公開しないとしています。
- 他の Lightning 実装を使う場合や Lightning を使わない場合は、この認証情報の危険はないとされています。BTCPay Server 自体のオンチェーンのウォレット（ホットウォレット含む）も影響を受けないとされています。ただし LND 自身のオンチェーンのウォレットにある資金は、危険が残り得ると説明されています。

## 影響を受ける版
| 対象 | 影響する版 | 修正版 |
|---|---|---|
| BTCPay Server | 2.4.2 より前（2.4.2 のリリース候補を含む）すべて | 2.4.2（LND 0.21.1 を同梱） |

特に危険なのは LND を使う環境です。ベンダーは、LND の利用者は「今すぐ更新」するよう求めています。

## 評価
| 評価元 | 版 | 点数 | ベクター |
|---|---|---|---|
| VulnCheck | CVSS v3.1 | 9.8（Critical） | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| VulnCheck | CVSS v4.0 | 9.3（Critical） | AV:N/AC:L/AT:N/PR:N/UI:N、機密性・完全性・可用性とも高 |

- 認証不要で CVSS 9 以上、さらに実際の悪用が報告されているため、基準に沿い severity は **critical** を案とします（確定はオーナーの判断待ち）。
- CISA の KEV には載っていません（取得時点）。FIRST の EPSS は、取得時点（2026-11-06）でまだ値がありません。

## 対策として考えられること
1. BTCPay Server を 2.4.2 へ更新します。管理画面の Server Settings → Maintenance → Update から行えます。更新後、管理画面のフッターで 2.4.2、LND が 0.21.1 になっていることを確かめます。
2. LND を使っていて今すぐ更新できない場合は、更新できるまでサーバーを止めます。影響を受けるLND環境をインターネットから到達できる状態に置かないでください。
3. LND を使っている場合は、認証情報が漏れた前提で、身に覚えのない支払い、予期しないチャネルの閉鎖、見慣れないピア、手元の記録と合わない残高がないかを調べます。更新で macaroon は自動的に作り直されます。
4. 自前のリバースプロキシ・Tor・ポート転送などで LND を公開している場合は、BTCPay Server の更新では閉じられないので、認証情報を自分で作り直します。
5. 2.4.2 では、Docker 構成での LND API の外部公開が一時的になくなっています。Zeus などの外部ウォレットからドメインや onion アドレス経由で接続していた場合は、当面つながらなくなります。

## 未確認の点
- 攻撃の具体的な手口（ベンダーは技術詳細を未公開）と、被害の件数・金額。
- 攻撃者や被害を受けた個別の利用者に関する情報（本稿では扱わない）。
- ベンダー勧告の投稿日（ページ上の表記と NVD の登録日に差があるため、時系列は未確認）。
- 実際の悪用に対する第三者の確認（ここでの「悪用」はベンダー自身の記載に基づく）。
- NVD の最終評価（現状は評価前）。


## 出典
- [NVD CVE-2026-119757](https://nvd.nist.gov/vuln/detail/CVE-2026-119757) — NIST NVD
- [BTCPay Server セキュリティ勧告: 2.4.2 へ今すぐ更新](https://blog.btcpayserver.org/security-advisory-btcpay-server-2-4-2/) — BTCPay Server プロジェクト
- [VulnCheck Advisory](https://www.vulncheck.com/advisories/btcpay-server-lnd-macaroon-credential-file-disclosure) — VulnCheck
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-119757) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/btcpay-server-cve-2026-119757-lnd-macaroon-unauthenticated-disclosure-funds-stolen